Open-Resolver schliessen

Transkript

1 Open-Resolver schliessen Kunde/Projekt: CCC Version/Datum: Autor/Autoren: green.ch Autoren Team Seite 1/11

2 1 Inhaltsverzeichnis 1 Inhaltsverzeichnis Allgemeine Bemerkungen Zweck dieses Dokuments Wie funktioniert eine DNS Amplification Attacke? Gegenmassnahmen Was sind PC-Zombies und wie schützt man seinen PC Open Resolver deaktiveren Server oder DNS Anschluss prüfen Open Resolver schliessen DSL Modem/Router Open Resolver bei Zyxel P660 schliessen (Bei anderen Zyxel Geräten ähnlich) Open Resolver bei Fritz!Box 7390 schliessen (Workaround) Windows DNS Server Bind DNS Server Seite 2/11

3 2 Allgemeine Bemerkungen 2.1 Zweck dieses Dokuments Offene DNS Server im Internet stellen ein hohes Risiko dar. Durch sogenannte DNS Amplification Attacks werden die offenen DNS-Server für einen Angriff auf ein beliebiges Ziel missbraucht. Dies verursacht beim Betroffenen Schaden. Zudem wird die Netz-Infrastruktur unnötig belastet. Daher ist es nötig, dass die offenen DNS-Server entweder geschlossen werden oder der IP-Range, welcher auf Anfragen reagiert, eingeschränkt wird. Dieses Dokument beschreibt, wie man die DNS-Server so konfiguriert, damit diese nicht mehr von einem Angreifer missbraucht werden können. 2.2 Wie funktioniert eine DNS Amplification Attacke? In der Kombination mit IP-Spoofing und offener Rekursion führen Angreifer eine DNS-Amplification DDoS Attacke wie folgt durch. 1. Der Angreifer sammelt eine Zombie-Armee. Diese besteht in der Regel aus kompromittierten PC s im Internet. 2. In die Zone-Datei eines eigenen (oder gehackten) Nameservers schreibt er einen Overhead, welcher möglichst grosse Antwort-Pakete generiert. 3. Der Angreifer befiehlt seinen Zombies eine kontinuierliche DNS-Anfrage der manipulierten Zone-Datei durchzuführen. Die Anfrage senden die Zombies zuerst an einen offenen DNS-Server. Als Absender IP-Adresse verwenden die Zombies die IP des anzugreifenden Ziels. 4. Hat der offene DNS-Server noch keine Anfrage an das kompromittierte Zonen-File gestellt, wird diese nun ausgeführt. Das Resultat (den Overhead) nimmt der offene DNS-Server in seinen Cache. 5. Der offene DNS-Server meint nun, dass er die Antwort einem Zombie zurückgibt. Da die IP jedoch gefälscht war (IP-Spoofing), wird die Antwort an das Opfer gesendet. 6. Nun wird das Opfer mit sinnlos grossen Antwort-Paketen zugespammt. Die grossen DNS- Antworten kommen in mehreren IP-Paketen beim Opfer an und müssen dort wieder zusammengesetzt werden. Dadurch wird A) Die Rechenlast erhöht B) Verhindert, dass das Opfer die DNS-Attacke schnell erkennt und Gegenmassnahmen einleiten kann Seite 3/11

4 Die Ergebnisse sind verheerend. Abhängig von den Gegenmassnahmen und der Robustheit des Ziel-DNS- Servers, wird die Funktionalität des DNS-Servers entweder stark eingeschränkt oder im schlimmsten Fall gestoppt. Dienste, für welche der DNS-Server die Namens-Auflösung bereitstellte, sind nicht mehr erreichbar. Abgesehen von den Reparatur-Arbeiten entsteht so dem Opfer auch wirtschaftlicher Schaden. 2.3 Gegenmassnahmen Leider wird es nicht möglich sein, solche Attacken generell zu verhindern. Jedoch können einem Angreifer seine Hilfsmittel entzogen werden. Hier kann an zwei Punkten angesetzt werden. 1. Beim Zombie Botnet 2. Bei den Open Resolvern Was sind PC-Zombies und wie schützt man seinen PC Ein Zombie-Botnet besteht in der Regel aus einem Verbund infizierter Computer. Jeder Computer, welcher am Internet angeschlossen ist, kann durch Malware oder Viren infiziert werden. Ist der Computer mal infiziert, wird er zum Zombie und führt die Befehle seines Meisters aus. In dem hier beschriebenen Fall im Zusammenhang mit einer DNS Amplification Attacke. In dem man seinen Computer regelmässig, mit einem aktuellen Antiviren-Programm, auf Viren und Malware scannt, kann man dem einfach entgegenwirken. Zudem verhindert man den Befall mit Viren, indem man im keine unbekannten Anhänge öffnet und auf vertrauenswürdigen Seiten surft Open Resolver deaktiveren Open Resolver sind DNS Systeme, welche von den Internet-Benutzern bewusst oder unbewusst betrieben werden. Dies müssen nicht zwingend DNS-Server sein. Es gibt auch DSL-Modems, welche in der Standard-Konfiguration als Open-Resolver arbeiten (Beispiel: ZyXEL P660R-D1). DNS-Server wie zum Beispiel BIND oder der Windows DNS Server können ebenfalls als Open Resolver konfiguriert sein. Um die Probleme zu beheben, muss bei den DNS Servern die Recursion abgeschaltet werden. Zusätzlich sollte pro DNS Server definiert werden, welcher IP-Bereich berechtigt ist, DNS-Anfragen zu stellen (zum Beispiel nur aus dem eigenen Netzwerk). Somit wird verhindert, dass Fremde den Open Resolver missbrauchen. Bei Modems, welche als Open Resolver arbeiten, kann in der Regel in der Konfiguration die Funktion abgeschaltet werden. Seite 4/11

5 2.3.3 Server oder DNS Anschluss prüfen Mit einem einfachen Trick kann jeder Benutzer selbst testen, ob sein Server oder DSL-Gerät ein Open Resolver ist. ACHTUNG: Der Test-Computer darf sich nicht im gleichen Netzwerk wie der DNS-Server befinden. Machen Sie den Test von einem unabhängigen Internetzugang aus. 1. Ermitteln Sie die IP-Adresse, welche Sie prüfen wollen. Bei einem Server sollte diese bekannt sein. Bei einem DSL-Anschluss können Sie diese auf der Internetseite einsehen. 2. Öffnen Sie das Kommandozeilen Interface von Windows (CMD). 3. Geben Sie in der Kommandozeile folgende Befehle ein: a) nslookup q=all (Enter) b) server <die ermittelte IP Adresse> (Enter) Beispiel: server c) green.ch (Enter) 4. Erhalten Sie eine Antwort gemäss dem Bild unter Punkt 3, haben Sie mit grösster Wahrscheinlichkeit einen Open-Resolver in Ihrem System. Seite 5/11

6 Erhalten Sie ein Time-Out wie im Bild unten dargestellt, wird kein Open Resolver betrieben. 3 Open Resolver schliessen 3.1 DSL Modem/Router Sollte das DSL-Modem als Open-Resolver fungieren, konsultieren Sie bitte die Anleitung Ihres Gerätes. Folgend ein Bespiel bei einem Zyxel Modem (P660R) Open Resolver bei Zyxel P660 schliessen (Bei anderen Zyxel Geräten ähnlich) Die Werkseinstellungen des Zyxel P660 beinhalten einen gegen das Internet offenen DNS Server. Den offenen DNS Server können Sie in der Web-Konsole unter Advanced - Remote MGMT DNS schliessen. Gehen Sie dazu wie folgt vor: 1. Öffnen Sie einen Browser und tippen Sie in die Adresszeile ein. 2. Loggen Sie sich mit dem Benutzernamen und Passwort ein. Wenn Sie das Passwort nicht geändert haben, sollten folgende Standard-Werte funktionieren. Benutzername: admin Passwort: Gehen Sie anschliessend nach Advanced - Remote MGMT DNS und stellen Sie den Access Status von WAN auf LAN. 4. Klicken Sie auf Apply um die Änderungen zu übernehmen. Seite 6/11

7 3.1.2 Open Resolver bei Fritz!Box 7390 schliessen (Workaround) Sobald man bei der Fritz!Box 7390 das NAT in den Netzwerk-Einstellungen deaktiviert, fungiert die Fritz!Box 7390 als Open Resolver. Muss die NAT Einstellung zwingend deaktiviert bleiben, können Sie mit folgendem Workaround den Open Resolver schliessen: 1. Öffnen Sie Ihren Browser und tippen Sie die IP Ihrer Fritz!Box 7390 ein. Die Standard IP der Fritz!Box 7390 lautet auf Loggen Sie sich mit Passwort in die Konsole ein. 3. Prüfen Sie bei der Gelegenheit gleich die Firmware-Version und machen Sie wenn nötig ein Update. Dieser Schritt ist optional, aber sehr zu empfehlen! 4. Schalten Sie die Konsole in den Experten-Modus. Klicken Sie dazu auf Ansicht: Standard. Danach sollte die Zeile wie folgt aussehen: Seite 7/11

8 5. Klicken Sie nun auf Internet Zugangsdaten und wählen Sie den Reiter DNS-Server aus. Wählen Sie Andere DNSv4-Server verwenden aus und geben Sie in den Feldern Bevorzugter DNSv4-Server und Alternativer DNSv4-Server jeweils die IP ein. Klicken Sie auf Übernehmen, um die Einstellungen zu speichern. Die zweite Variante, wie Sie den Open Resolver schliessen können, besteht darin, das NAT wieder zu aktivieren. 1. Loggen Sie sich wie in der vorherigen Anleitung beschrieben in die Konsole der Fritz!Box ein und aktivieren Sie den Experten-Modus. 2. Gehen Sie anschliessend auf Netzwerk Netzwerkeinstellungen und klicken Sie dort auf den Knopf IPv4-Adressen. Seite 8/11

9 3. Entfernen Sie den Haken bei NAT deaktivieren und klicken Sie auf OK, um die Änderung zu übernehmen. 3.2 Windows DNS Server 1. Öffnen Sie den Server Manager 2. Wählen Sie Ihren DNS-Server aus (rechte Maustaste) und gehen Sie auf Properties (Einstellungen). Seite 9/11

10 3. Im Tab Advanced (erweitert) setzen Sie den Haken bei Disable recursion (also disables forwarders). 4. Definieren Sie im Tab Interfaces, welche IP-Adressen berechtigt sind, DNS-Anfragen zu stellen. Seite 10/11

11 3.3 Bind DNS Server Auf Vollständigkeit dieser Anleitung wird verzichtet. Die Konfiguration von Bind ist sehr komplex. Daher werden nur zwei Tipps gegeben, wie man einen offen Bind9 Server ein wenig sicherer machen kann. Die Einstellungen müssen in der Datei named.conf.options eingetragen werden. 1. Sollten Sie Rekursion NICHT benötigen, schalten Sie diese einfach aus. Dies geschieht mit folgendem Eintrag in der named.conf.options: recursion no; Vergessen Sie nicht, den Dienst nach dem Speichern der Änderung neu zu starten. In Debian und Ubuntu macht man dies mit dem Befehl /etc/init.d/bind9 restart. Achten Sie unbedingt auf die Syntax in named.conf.options! Ein kleiner Tippfehler und der Dienst verweigert einen Neustart. 2. Schränken Sie den Zugriff von extern auf Ihren DNS Server ein. Dies geschieht mit folgendem Eintrag in der named.conf.options: allow-recursion { /24; ; }; recursion yes; Dies bewirkt, dass nur Computer aus dem definierten internen oder externen Netz eine rekursive Antwort vom DNS Server erhalten. Die IP-Adressen müssen Sie gemäss Ihrer Konfiguration anpassen. Seite 11/11